Malware PoeLLM esconde o endereço de seu C2 em um poema no GitHub e sequestra servidores de IA expostos para mineração

Pesquisadores do Black Lotus Labs, da Lumen, documentaram uma família de malware que chamam de PoeLLM, que invade servidores de IA e de LLM expostos à internet, instala mineradores de criptomoedas e depois usa as máquinas sequestradas para procurar novas vítimas. Os pesquisadores batizaram a campanha, de motivação financeira, de Canto Incognito. Segundo o The Hacker News e o BleepingComputer, mais de 3.400 servidores foram infectados desde que a atividade começou, em abril de 2026; o The Register, citando os mesmos pesquisadores, fala em mais de 3.000. O BleepingComputer observa que a versão do relatório que recebeu inicialmente indicava 2.100 servidores comprometidos, número que os pesquisadores aumentaram depois no relatório publicado.

O nome do malware se refere à forma como ele encontra seu servidor de comando e controle. Segundo os pesquisadores, o operador mantém um poema intitulado “On the Nature of Connection” em um arquivo chamado dash.css, dentro de um repositório do GitHub que é um fork do código-fonte do site do Node.js. O PoeLLM, um binário ELF chamado libgcrypt segundo o BleepingComputer, lê quatro palavras ou expressões em posições fixas do poema, converte-as em números com um dicionário embutido em seu código e monta a partir deles um endereço IPv4. Para trocar de servidor, basta ao operador editar algumas palavras. O primeiro commit foi feito em 13 de abril de 2026, e o poema foi alterado 11 vezes desde então, informam o The Register e o BleepingComputer. O Black Lotus Labs disse ao The Register que o texto não contém links, downloads nem strings criptografadas que o identifiquem como malicioso, que a técnica era inédita para a equipe e que acredita que o próprio poema tenha sido escrito por IA.

Depois de instalado, o PoeLLM executa os mineradores XMRig e Iron e conecta as vítimas ao Kryptex, que o The Hacker News e o BleepingComputer descrevem como um serviço russo de mineração. Ele também traz funções de shell remoto, varredura e exploração. Segundo o BleepingComputer, os hosts infectados varrem as portas 3000 e 4000, associadas ao Gotenberg e ao LiteLLM, e tentam explorar a CVE-2026-42271, uma falha nos endpoints de teste do servidor MCP do LiteLLM que foi divulgada inicialmente como exigindo autenticação; pesquisadores da Horizon.ai afirmam que ela pode ser encadeada com a CVE-2026-48710 para execução remota de código sem autenticação. A maioria das vítimas rodava versões expostas do LiteLLM e do Ollama, segundo o The Register, enquanto centenas usavam o conversor de PDF Gotenberg ou a plataforma de desenvolvimento Gitea. O The Register acrescenta que o Black Lotus Labs detectou o malware pela primeira vez ao investigar uma vulnerabilidade do Ivanti Sentry, a CVE-2026-10520. As vítimas se concentram nos Estados Unidos e na Europa Ocidental.

O Black Lotus Labs atribui a campanha, com confiança moderada, a um agente que fala italiano, citando comentários em italiano no malware e nas páginas do GitHub do atacante, além de dados de netflow; o BleepingComputer acrescenta que a interface administrativa estava hospedada em um servidor na Itália. Vários servidores C2 expunham páginas de administração de roteadores vulneráveis, o que os pesquisadores interpretam como sinal de que o atacante reaproveitou roteadores comprometidos. O The Hacker News cita a empresa dizendo que a campanha atingiu o pico em meados de junho, com quase 2.200 servidores afetados, dos quais quase 800 ativos por dia, e que um tráfego mais recente direcionado ao SSH e a outras páginas de login indica experimentos com ataques distribuídos de força bruta, cujo grau de maturidade ainda não está claro. Como defesa, o BleepingComputer recomenda que os administradores instalem as atualizações de segurança mais recentes, mantenham sistemas críticos fora da internet pública sempre que possível, limitem o acesso externo a endereços IP confiáveis e procurem nos logs de rede conexões com os indicadores de comprometimento publicados pelo Black Lotus Labs.

Os pesquisadores afirmam que a infraestrutura de IA atrai atacantes não só por falhas de software, mas também porque esses servidores podem guardar dados úteis e muitas vezes rodam em hardware com GPU adequado à mineração. Eles disseram ao The Register que a campanha parece incomum por atacar vários serviços ligados à IA ao mesmo tempo, enquanto o comprometimento da cadeia de suprimentos do LiteLLM neste ano se concentrou em um único serviço e afetou cerca de 2.500 vítimas, segundo fontes abertas. O Black Lotus Labs disse esperar mais ataques desse tipo, argumentando que as ferramentas de IA facilitam a implantação de serviços como LiteLLM, Ollama ou Gotenberg sem verificar se estão atualizados e protegidos.